TRATAMIENTO DE INFORMACIÓN Y DATOS PERSONALES  (artículos 13 y 14 del RGPD)

Brembo SpA, con domicilio social en Via Brembo 25, 24035 Curno ( BG), Italia y el resto de sociedades del Grupo Brembo indicadas más adelante (individualmente, la "Sociedad", conjuntamente, el "Grupo" o los "Corresponsables del Tratamiento") han establecido un sistema de prevención y represión de conductas ilícitas en el Grupo que incluye un sistema destinado a recibir y tramitar denuncias de conductas de dicha naturaleza tanto a través de la plataforma web como de la App "Legality Whistleblowing" y regulado por el procedimiento corporativo sobre denuncia de irregularidades (en adelante, "Plataforma de Denuncia de Irregularidades").

El sistema es compartido por las sociedades que como Corresponsables del Tratamiento de conformidad con lo dispuesto en el art. 26 del Reglamento General de Protección de Datos de la Unión Europea - Reglamento (UE) 2016/679 (en adelante, "GDPR") han firmado un acuerdo de corresponsables del tratamiento, a disposición de los interesados previo envío de la solicitud pertinente a las direcciones indicadas al final de esta notificación.

En el marco de la tramitación de las denuncias, los Corresponsables del Tratamiento tratarán los datos personales facilitados y/o, en todo caso, recibidos en la Plataforma de Denuncias de conformidad con lo dispuesto en la legislación aplicable en materia de protección de datos personales y en la presente notificación.

Tipos de datos personales

Los datos personales obtenidos a través de las denuncias son:

• Datos identificativos del denunciante, en la medida en que resulten relevantes para la gestión del procedimiento y lo permita la legislación en vigor, y dentro de los límites indicados a continuación, incluido nombre y apellido, credenciales de registro en el sistema de denuncia establecido por los Corresponsables del Tratamiento y gestionado a través de la Plataforma de Denuncia de Irregularidades, suministrada por un proveedor externo, que opera como encargado del tratamiento de los Corresponsables del Tratamiento y sujeto al cumplimiento de obligaciones de confidencialidad, de forma totalmente independiente de los sistemas de Grupo. Los datos identificativos y el correo electrónico de registro (que no podrá ser un correo electrónico corporativo de Brembo para proteger la confidencialidad del denunciante) son comunicados por el denunciante al registrarse en la plataforma y efectuar  la denuncia, o pueden ser obtenidos, en caso necesario, durante las actividades de investigación y las posteriores evaluaciones;
• Datos identificativos de la persona afectada por la denuncia, facilitados por el denunciante u obtenidos posteriormente durante las actividades de investigación y las posteriores evaluaciones;
• Información referente a los eventos denunciados, en función del contenido de la denuncia, incluidas referencias a datos de terceros que estarían implicados en los eventos objeto de denuncia y comunicados por el denunciante u obtenidos en ulteriores investigaciones.

A efectos de la tramitación de la denuncia, los datos personales podrían ser complementados partiendo de información de dominio público y/o recogida a través de terceros, en función de las circunstancias concretas de la denuncia y en todo caso de acuerdo con el principio de minimización, y/o recogidos del interesado o que ya estén a disposición de los Corresponsables del Tratamiento del proceso afectado por la denuncia.

Se entiende que, atendiendo a los hechos denunciados, podrían ser comunicados u obtenidos posteriormente en el marco de subsiguientes investigaciones datos pertenecientes a las categorías especiales de datos previstas en el artículo 9 (1) del RGPD (y más específicamente, en tales contextos, datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas o afiliación sindical, o datos relativos a la vida sexual o la orientación sexual de la persona) y/o datos referentes a condenas e infracciones penales o medidas de seguridad conexas de conformidad con lo dispuesto en el artículo 10 del RGPD.

Los Corresponsables del Tratamiento no recogerán datos personales que sean manifiestamente inútiles para la tramitación de una denuncia específica o, si fuesen recogidos accidentalmente (en el marco de una denuncia o una investigación posterior), los suprimirán inmediatamente. Las denuncias, por consiguiente, no podrán incluir datos irrelevantes.

Finalidad y bases jurídicas del tratamiento

Los datos facilitados serán tratados con la finalidad de llevar a cabo las investigaciones necesarias, sobre la base de la legislación aplicable, con el objetivo de verificar la validez del hecho objeto de denuncia y la adopción de las consiguientes medidas y procedimientos administrativos, judiciales y/o disciplinarios.

La base jurídica es, por tanto, el cumplimiento de una obligación legal (artículo 6 (1) c) y, en el caso de las categorías especiales de datos, el artículo 9 (2) g) del RGPD, según lo establecido por las disposiciones nacionales que transponen la Directiva (UE) 2019/1937 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión y de las disposiciones normativas nacionales aplicables (en lo sucesivo, "Normativa sobre Denuncia de Irregularidades").

Naturaleza del suministro y métodos de tratamiento

La comunicación de datos como el correo electrónico y la contraseña por parte del denunciante es necesaria a efectos de registro y acceso al área confidencial de la denuncia en la plataforma gestionada por el proveedor externo y, por tanto, para poder garantizar la confidencialidad de la identidad del denunciante, del afectado y de la persona mencionada en la denuncia, así como del contenido de la misma y de la documentación pertinente; por consiguiente, la falta de aportación de los datos mencionados, impedirá la aceptación de la denuncia por el responsable del tratamiento.

La realización de una denuncia es totalmente opcional. No obstante, una vez que se decida presentar una denuncia, la comunicación de otros datos, como nombre y apellidos, por parte del denunciante, es obligatoria, habida cuenta de que no se contempla la posibilidad de realizar denuncias anónimas. La omisión de dichos datos impedirá que siga adelante la tramitación del proceso de denuncia de irregularidades.

El tratamiento de datos será efectuado con herramientas informáticas y electrónicas con lógica organizativa y de tratamiento estrictamente vinculada con los fines señalados anteriormente, como se indica en el procedimiento corporativo de denuncia de irregularidades, y en todo caso, a efectos de garantizar la corrección, seguridad, integridad y confidencialidad de los datos, de conformidad con las medidas organizativas, físicas y lógicas previstas en las disposiciones en vigor.

La información y documentación referentes a la denuncia, así como el flujo de información con las entidades participantes en la verificación, son gestionados y almacenados únicamente en la plataforma, a efectos de garantizar el máximo nivel de seguridad y confidencialidad y de conformidad con las disposiciones aplicables.

Es preciso tener en cuenta que aunque se haya recurrido al formulario para realizar la denuncia, con el consentimiento del interesado, se podrá conservar mediante su grabación en un dispositivo adecuado o por medio de un acta o informe detallado.

En caso de denuncias realizadas a través del canal de mensajes de la Plataforma de Denuncias de Irregularidades o directamente al Director de Auditoría Interna, la denuncia deberá quedar documentada por escrito, con el consentimiento previo del denunciante, mediante registro en la Plataforma.

Destinatarios de datos y transferencias de datos

Los datos personales recogidos son tratados por personal autorizado expresamente a tales efectos, identificado por el Grupo Brembo, tal y como se indica en el procedimiento pertinente de Denuncia de Irregularidades de los Corresponsables del Tratamiento, y en concreto por los responsables en materia de denuncias de la Función Central Global Auditoría Interna de Brembo S.p.A., cuya actuación se regirá por las instrucciones específicas cursadas con respecto a los fines y los métodos de tratamiento.

Los datos personales también estarán al alcance, con el único fin de gestionar la Plataforma de Denuncia de Irregularidades, de la empresa que suministra dicha plataforma, lleva a cabo actividades externalizadas en nombre de los Corresponsables del Tratamiento y ha sido designada como Encargada del Tratamiento (Digital PA S.r.l.)

Por otro lado, en aquellos casos en que sea necesario, con el fin de determinar el fundamento del hecho objeto de denuncia, las actividades de investigación pertinentes y la adopción de las medidas subsiguientes, los datos personales de los interesados podrían ser facilitados al personal del Corresponsable del Tratamiento afectado por la denuncia perteneciente a los departamentos competentes, para la adopción de medidas de protección de los Corresponsables del Tratamiento o la incoación de medidas disciplinarias, en su caso, así como a asesores legales, a autoridades judiciales, a las autoridades competentes y otros consejos/órganos de derecho público competentes en relación con el asunto denunciado.

Se entiende que la identidad del denunciante no podrá ser revelada sin su consentimiento, que el Corresponsable del Tratamiento pertinente solicitará en los supuestos expresamente previstos en la Normativa sobre Denuncia de Irregularidades.

Los Datos Personales serán tratados en la Unión Europea y almacenados en servidores ubicados en la Unión Europea. 

Retención de datos personales

Los datos serán conservados durante el período necesario y proporcional para cumplir la obligación impuesta por la Normativa sobre Denuncia de Irregularidades. Se entiende que en aplicación del principio de minimización, no se recogerán datos personales que sean manifiestamente inútiles para la tramitación de una denuncia y, si fuesen recogidos accidentalmente, el Responsable del Tratamiento deberá suprimirlos inmediatamente.

Las denuncias y la documentación pertinente serán conservados durante el período necesario para la tramitación de la denuncia y, en todo caso, durante un máximo de cinco años a partir de la fecha en la que se informe al denunciante sobre el resultado final de la denuncia.

Derechos de los interesados

Si los interesados desean ejercer los derechos previstos en los artículos 15 a 21 del GDPR (derecho de acceso, rectificación, supresión y limitación del tratamiento, así como oposición) deberán ponerse en contacto, preferentemente, con Brembo S.p.A., que actúa como punto de contacto, o con su Delegado de Protección de Datos (DPD) en la dirección de correo electrónico privacy.italy@brembo.com, o bien enviar una solicitud por escrito a la dirección indicada a continuación. Brembo S.p.A. tramitará la solicitud y responderá de acuerdo con lo previsto en la legislación (a tenor del artículo 26 (3) del RGPD, el interesado también podrá hacer ejercicio de sus derechos con respecto al resto de Corresponsables del Tratamiento a través de las direcciones indicadas en la tabla siguiente), sin perjuicio de las limitaciones al ejercicio de los derechos previstas en la legislación nacional aplicable, en el supuesto de que el ejercicio de dichos derechos suponga un perjuicio efectivo y concreto para la confidencialidad de la identidad de la persona que denuncie la infracción de la que haya tenido noticia en el ejercicio de su cargo.

El interesado también podrá presentar una reclamación ante la autoridad de control competente (por ejemplo, en Italia, el Garante per la protezione dei dati personali).

Identidad y datos de contacto de los Corresponsables del Tratamiento y Delegado de Protección de Datos

Los responsables del tratamiento de datos personales son (en función de la empresa a la que se refiera la denuncia):